CVE-2014-8636
WysokieStreszczenie
Implementacja XrayWrapper w Mozilla Firefox przed wersją 35.0 oraz SeaMonkey przed wersją 2.32 nieprawidłowo współdziała z obiektem DOM, który ma nazwany getter. Może to pozwolić zdalnym atakującym na wykonanie dowolnego kodu JavaScript z uprawnieniami chrome.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uruchomienia złośliwego kodu w kontekście przeglądarki, co może prowadzić do kradzieży danych lub przejęcia kontroli nad systemem użytkownika.
Rekomendacja
Zaleca się aktualizację przeglądarki Mozilla Firefox do wersji 35.0 lub nowszej oraz SeaMonkey do wersji 2.32 lub nowszej, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w Mozilla Firefox, SeaMonkey
Zobacz wszystkie- CVE-2014-8635Wysokie
Wielokrotne nieokreślone podatności w silniku przeglądarki w Mozilla Firefox przed wersją 35.0 oraz SeaMonkey przed wersją 2.32 mogą umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu za pomocą nieznanych wektorów.
- CVE-2014-1525Wysokie
Funkcja mozilla::dom::TextTrack::AddCue w Mozilla Firefox przed wersją 29.0 oraz SeaMonkey przed wersją 2.26 nieprawidłowo wykonuje zbieranie śmieci dla zmiennych menedżera ścieżek tekstowych, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany element VIDEO w dokumencie HTML.
- CVE-2014-1522Wysokie
Funkcja mozilla::dom::OscillatorNodeEngine::ComputeCustom w subsystemie Web Audio w Mozilla Firefox przed wersją 29.0 oraz SeaMonkey przed wersją 2.26 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez przygotowane treści.
- CVE-2014-1519Wysokie
Wielokrotne nieokreślone podatności w silniku przeglądarki w Mozilla Firefox przed wersją 29.0 oraz SeaMonkey przed wersją 2.26 mogą umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu za pomocą nieznanych wektorów.
- CVE-2014-1494Wysokie
Wielokrotne nieokreślone podatności w silniku przeglądarki w Mozilla Firefox przed wersją 28.0 oraz SeaMonkey przed wersją 2.25 mogą umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
The XrayWrapper implementation in Mozilla Firefox before 35.0 and SeaMonkey before 2.32 does not properly interact with a DOM object that has a named getter, which might allow remote attackers to execute arbitrary JavaScript code with chrome privileges via unspecified vectors.